2025年Q1 遭利用漏洞达159个，开源软件类排名第四

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

VulnCheck 公司发布报告表示，在2025年第一季度，多达159个CVE漏洞已被标记为遭在野利用，而2024年第四季度这一数字为151个。

报告指出，“我们仍发现，在CVE编号发布不到一天的时间，28.3%的漏洞即遭利用。”换句话说，45个漏洞在披露不到一天的时间就被用于真实攻击中，其它14个漏洞在一个月内遭利用，其余45个在一年内遭利用。

VulnCheck 公司表示，这些已遭利用的漏洞位于内容管理系统 (CMS，35个)中，其次为网络边缘设备（29个）、操作系统（24个）、开源软件（14个）和服务器软件（14个）中。而遭利用的领先厂商及其产品依次为微软 Windows (15个)、博通VMware（6个）、Cyber PowerPanel（5个）、Litespeed Technologies（4个）以及TOTOLINK 路由器（4个）。

报告提到，“平均而言，每周披露11.4个、每月披露53个关键的遭利用漏洞 (KEV)。虽然CISA KEV在这一季度新增了80个漏洞，但仅有12个未发现公开利用的证据。”

在这159个漏洞中，25.8%的漏洞正在等待或正在由美国 NIST NVD分析，而3.1%的漏洞已被分配新的“延期”状态标记。

Verizon 公司在最近发布的2025年度DBIR 报告中提到，漏洞利用作为数据泄露的初始访问步骤情况增长了34%，在所有入侵方式中占比20%。由谷歌所有的Mandiant 公司也披露称，利用是连续第五年最经常被观测到的初始感染向量，其中被盗凭据取代钓鱼攻击，位列第二。Mandiant 公司表示，“对于识别出初始感染向量的入侵事件中，33%的入侵以漏洞利用作为开始。这一比例相比2023年（38%）有所下降，但几乎等同于2022年利用分享（32%）。”话虽如此，尽管攻击者努力逃避检测，防御人员仍然在识别攻陷方面表现更好。

全球范围内的驻留时间中位数，即从攻陷到检测期间攻击者在系统上的停留天数，为11天，要比2023年增长1天。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

---

推荐阅读

8天，这个被微软认为“低可利用性”的漏洞即遭利用

苹果紧急修复已遭利用的两个0day

CISA：速修复已遭利用的 CentreStack 和 Windows 0day漏洞

Firefox 存在严重漏洞，类似于 Chrome 已遭利用0day

谷歌紧急修复已遭利用的0day

原文链接

https://thehackernews.com/2025/04/159-cves-exploited-in-q1-2025-283.html

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~